PT-2026-34791 · Pnpm · Pnpm

风间映川 · Publicado 2026-04-23 · Atualizado 2026-04-25 · CVE-2026-41360

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.2

Descrição Um problema de integridade de aprovação existe no pnpm dlx que falha ao vincular operandos de scripts locais de forma consistente com os fluxos do pnpm exec. Isso permite que invasores substituam scripts locais aprovados antes da execução sem invalidar o plano de aprovação, levando à execução de conteúdos de scripts modificados.

Recomendações Atualizar para a versão 2026.4.2.

Correção

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2026-41360

Produtos afetados

Pnpm

Referências · 5

• https://github.com/openclaw/openclaw/security/advisories/GHSA-w6wx-jq6j-6mcj · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/176c059b05357df1bc09d4328a2380670859eeff · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-41360 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-approval-integrity-bypass-in-pnpm-dlx-local-script-binding · Nota
• https://twitter.com/CVEnew/status/2048168347725152689 · Publicação no Twitter